Falla crítica en FortiMail permite escribir archivos sin autenticación y Fortinet confirma que ya se explota

Fortinet advirtió el 1 de octubre que hay atacantes aprovechando una falla crítica en FortiMail, su pasarela de seguridad para correo electrónico, que permite escribir archivos en el equipo sin iniciar sesión. El día del aviso no había parche para la mayoría de las versiones afectadas. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, CISA, les dio a las agencias federales civiles un plazo de tres días para revisar sus equipos y mitigarla, según BleepingComputer y Help Net Security.

La falla se identifica como CVE-2026-104286 y tiene un puntaje de 9,8 sobre 10 en el Sistema Común de Puntuación de Vulnerabilidades, CVSS. La encontró Gwendal Guégniaud, del equipo de seguridad de producto de Fortinet, en una revisión interna. Los atacantes la usaban como día ceroVulnerabilidad que los atacantes explotan antes de que el fabricante publique una corrección, por lo que los usuarios todavía no tienen un parche para protegerse., antes de que existiera una corrección.

Qué es la falla: rutas manipuladas para escribir donde no se debe

En simple, un atacante puede mandarle a FortiMail una solicitud web armada de cierta manera y lograr que el equipo guarde un archivo en un lugar que no debería. The Register explica que escribir archivos en ciertas ubicaciones puede permitir ejecutar código o comandos en el equipo, y el aviso de Fortinet clasifica el impacto justamente así: ejecución de código o comandos no autorizados.

En lo técnico, el aviso de Fortinet describe una combinación de path traversalVulnerabilidad que permite leer o escribir archivos fuera de la carpeta autorizada de un sistema manipulando las rutas de archivo que recibe, por ejemplo con secuencias que suben de directorio. (CWE-22) y un manejo incorrecto de los caracteres nulos (CWE-158). Se ataca a distancia, con solicitudes HTTP o HTTPS, y no exige autenticación. El componente afectado es la interfaz web, y la mitigación principal apunta a IBE, el cifrado basado en identidad de FortiMail.

A quién afecta: cuatro ramas de FortiMail

La falla alcanza a FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 y 7.2.0 a 7.2.9. Fortinet anunció la corrección para las versiones 7.4.9, 7.6.7 y 8.0.2, que al momento del aviso todavía no estaban publicadas, según BleepingComputer y Help Net Security. Para la rama 7.2 no hay una versión propia: la indicación es pasar a la 7.4 o a una posterior, que a su vez espera su propia actualización.

Estado de explotación: sin datos sobre el alcance

El estado es explotada. Lo dice el aviso de Fortinet, que la da como explotada en ataques reales, y lo confirma CISA, que la sumó el 1 de octubre a su catálogo de Vulnerabilidades Explotadas Conocidas, KEV, "con base en evidencia de explotación activa". Fortinet no informó desde cuándo se explota, cuántos equipos fueron comprometidos ni quién está detrás. Ante las preguntas de BleepingComputer, la empresa remitió al aviso y dijo que se está comunicando con organismos de gobierno, entre ellos CISA. Las fuentes no traen datos de equipos expuestos en internet.

Qué hacer mientras no llega la actualización

El primer paso es verificar qué versión corre cada equipo. Mientras no esté la actualización, Fortinet recomienda desactivar IBE, desde la interfaz gráfica, en Encryption -> IBE -> IBE Service, o con los comandos config system encryption ibe, set status disable y end. Si no se puede prescindir de IBE, el aviso oficial pide cerrar el acceso desde internet a la interfaz de webmail o limitarlo a redes privadas de confianza. BleepingComputer, Help Net Security y The Register hablan, en cambio, de la interfaz de administración. Quien tenga un firewall de aplicaciones web delante de FortiMail puede bloquear las solicitudes POST a /ibe que contengan ../.

Después hay que buscar los indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. que publicó Fortinet: conexiones con 79[.]141.169.187 y 45[.]129.0.192, una tarea programada que ejecuta comandos ligados a /migadmin, una cuenta de archivo llamada archive234 configurada para enviar datos a un servidor remoto, errores de descifrado de IBE y fallas de inicio de sesión. BleepingComputer suma archivos agregados o modificados, como /data/lib/liblog.so, /data/etc/ld.so.preload y /data/etc/httpd.conf. Aplicar la mitigación no borra los archivos ni los mecanismos de persistencia que el atacante ya dejó, advierte The Register. Cuando Fortinet publique las versiones corregidas, corresponde instalarlas y seguir el aviso por si cambia.

Ficha técnica

• CVE: CVE-2026-104286
• CVSS 3.1: 9,8, crítica, asignado por Fortinet según NVD. Vector: red, sin autenticación, mediante solicitudes HTTP o HTTPS; el material no trae la cadena completa del vector.
• CWE: CWE-22 (path traversal) y CWE-158 (neutralización incorrecta de bytes o caracteres nulos)
• Versiones afectadas: FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 y 7.2.0 a 7.2.9
• Versiones con la corrección: 7.4.9, 7.6.7 y 8.0.2, anunciadas y no publicadas al 1 de octubre; la rama 7.2 debe migrar a 7.4 o superior
• Aviso del fabricante: FG-IR-26-175, publicado el 1 de octubre de 2026
• Alta en KEV: 1 de octubre de 2026, con un plazo de tres días para las agencias federales civiles de Estados Unidos, según BleepingComputer y Help Net Security

Actualización (5 de octubre de 2026): según el aviso de Fortinet, la empresa corrigió la falla en FortiMail Cloud al llevar todos sus equipos a las versiones 7.6.7 u 8.0.2, por lo que esos clientes no necesitan hacer nada.